సెషన్ టోకెన్ హైజాకింగ్, ఇన్ఫోస్టీలర్ మాల్వేర్ మరియు గ్లోబల్ సెషన్ రద్దు¶

దాడి చేసే వ్యక్తి మీ YouTube, ఇన్‌స్టాగ్రామ్, డిస్కార్డ్ లేదా X ఖాతా నుండి క్రిప్టోకరెన్సీ స్కామ్‌లను పోస్ట్ చేశారని, మీ Gmail లేదా Microsoft 365 ఇన్‌బాక్స్‌లో ఫార్వార్డింగ్ నియమాలను రూపొందించారని లేదా మీ కార్పొరేట్ క్లౌడ్ కన్సోల్‌ను యాక్సెస్ చేశారని కనుగొనడం **మీ ఫోన్‌లో 2FA కోడ్‌ను లేదా "కొత్త లాగిన్" ఇమెయిల్ హెచ్చరికను ట్రిగ్గర్ చేయకుండానే ** అనేవి అసలు గుర్తులేనివి. (Pass-the-Cookie) Infostealer మాల్వేర్ వలన. మీరు వెబ్‌సైట్‌కి లాగిన్ చేసి, *"నన్ను సైన్ ఇన్ చేసి ఉంచు"*ని తనిఖీ చేసినప్పుడు, సర్వర్ ఎన్‌క్రిప్టెడ్ HTTP సెషన్ కుక్కీ లేదా OAuth బేరర్ టోకెన్‌ను (గూగుల్ వంటిది) జారీ చేస్తుంది SID / SAPISID, Microsoft యొక్క ESTSAUTHPERSISTENT, లేదా అసమ్మతి Authorization టోకెన్) మీ వెబ్ బ్రౌజర్ యొక్క స్థానిక SQLite డేటాబేస్ లోపల నిల్వ చేయబడుతుంది.

**Lumma Stealer, RedLine, Vidar, Raccoon, StealC, RisePro, Rhadamanthys మరియు Atomic macOS Stealer (AMOS)**తో సహా కమోడిటీ ఇన్ఫోస్టీలర్ మాల్వేర్ కుటుంబాలు సాంప్రదాయ వైరస్‌ల వలె మీ కంప్యూటర్‌లో వేచి ఉండవు. తరచుగా ఫేక్ గేమ్ మోడ్, క్రాక్డ్ సాఫ్ట్‌వేర్ ఇన్‌స్టాలర్, నకిలీ "క్లిక్‌ఫిక్స్" పవర్‌షెల్ క్యాప్చా ప్రాంప్ట్ లేదా స్పాన్సర్ సహకార PDF వలె మారువేషంలో, ఇన్ఫోస్టీలర్ 4 సెకన్లలోపులో అమలు చేస్తుంది, మీ Chrome, ఎడ్జ్, బ్రేవ్ లేదా Firefoxని డీక్రిప్ట్ చేస్తుంది Cookies మరియు Login Data మెమరీలోని డేటాబేస్‌లు, వాటిని మీ డెస్క్‌టాప్ క్రిప్టోకరెన్సీ వాలెట్ ఫైల్‌లతో జిప్ చేస్తుంది, ఆర్కైవ్‌ను టెలిగ్రామ్ లేదా C2 సర్వర్‌కు అప్‌లోడ్ చేస్తుంది మరియు దానిని తాను తొలగిస్తుంది. దాడి చేసే వ్యక్తి మీ దొంగిలించబడిన సెషన్ కుక్కీలను యాంటీ-డిటెక్ట్ బ్రౌజర్‌లోకి దిగుమతి చేసినప్పుడు (Multilogin, Dolphin{anty}, లేదా Gologin), వెబ్ సర్వర్ మీ పాస్‌వర్డ్ మరియు మీ టూ-ఫాక్టర్ ప్రమాణీకరణ రెండింటినీ పూర్తిగా దాటవేసి, దాడి చేసే వ్యక్తి మీ ఇప్పటికే ప్రామాణీకరించబడిన కంప్యూటర్ అని భావిస్తుంది.

ఇప్పుడే ఇలా చేయండి¶

1. ** సోకిన కంప్యూటర్‌లో మీ పాస్‌వర్డ్‌లను మార్చడాన్ని ఆపివేయండి, వెంటనే ఆ PC లేదా Macని Wi-Fi నుండి డిస్‌కనెక్ట్ చేయండి మరియు దాని ఈథర్నెట్ కేబుల్‌ను అన్‌ప్లగ్ చేయండి.** బాధితులు చేసే #1 తప్పు ఇది: వారి డిస్కార్డ్, స్టీమ్ లేదా Gmail హైజాక్ చేయబడిందని వారు గమనించారు, సరిగ్గా అదే సోకిన డెస్క్‌టాప్ PC వద్ద కూర్చుని, Chromeలో సరికొత్త పాస్‌వర్డ్‌లను టైప్ చేయండి. ఇన్ఫోస్టీలర్ పెర్సిస్టెన్స్ లోడర్ లేదా షెడ్యూల్ చేసిన టాస్క్ ఆ మెషీన్‌లో ఇప్పటికీ సక్రియంగా ఉంటే, అది వెంటనే మీ కొత్త పాస్‌వర్డ్‌లను మరియు తాజా సెషన్ కుక్కీలను క్యాప్చర్ చేసి, దాడి చేసేవారికి వెంటనే పంపుతుంది. మీ పాస్‌వర్డ్ మార్పులు మరియు సెషన్ రద్దులలో 100 శాతం క్లీన్ స్మార్ట్‌ఫోన్ (సెల్యులార్ డేటా లేదా క్లీన్ వై-ఫైలో) లేదా ప్రత్యేక, తాకబడని ల్యాప్‌టాప్ నుండి చేయండి.
2. పాస్‌వర్డ్‌ని మార్చడం వలన దొంగిలించబడిన సెషన్ కుక్కీలు లేదా OAuth రిఫ్రెష్ టోకెన్‌లు ఎల్లప్పుడూ చెల్లుబాటు కావు అని అర్థం చేసుకోండి, మీరు తప్పనిసరిగా "అన్ని సెషన్ల నుండి సైన్ అవుట్" క్లిక్ చేసి, మూడవ పక్షం OAuth యాప్‌లను ఉపసంహరించుకోవాలి. అనేక ప్లాట్‌ఫారమ్‌లలో (మరియు Google యొక్క నమోదుకాని వాటితో). MultiLogin / issueToken OAuth ఎండ్‌పాయింట్‌లు లేదా దీర్ఘకాలిక సెషన్ టోకెన్‌లు), మీ పాస్‌వర్డ్‌ను మార్చడం లేదా 2FAని తిప్పడం ద్వారా మీరు దిగువ పట్టికలో ప్లాట్‌ఫారమ్-నిర్దిష్ట గ్లోబల్ సెషన్ & టోకెన్ రివొకేషన్ దశలను అమలు చేయకపోతే ఇప్పటికే ఉన్న సెకండరీ సెషన్ టోకెన్‌లు లేదా OAuth డెస్క్‌టాప్ టోకెన్‌లను సజీవంగా ఉంచవచ్చు.
3. If you have a software cryptocurrency wallet extension (MetaMask, Phantom, Rabby, Trust Wallet, Coinbase Wallet, Exodus, Electrum) installed on the infected computer, use a clean phone right now to evacuate your funds to a brand-new hardware wallet seed phrase. Infostealer logs automatically harvest the encrypted vault files (Local Extension Settings\nkbihfbeogaeaoehlefnkodbefgpgknn for MetaMask) alongside your browser saved passwords. Even if the attacker has not touched your crypto yet, your vault file is already sitting on a darknet market waiting for an offline GPU cracker. Execute our cryptocurrency వాలెట్ కాలువ మరియు సీడ్ పదబంధం రాజీ వెంటనే మార్గనిర్దేశం చేయండి.
4. మీ "అపెక్స్ గుర్తింపు ఖాతాలు" (ప్రాధమిక ఇమెయిల్, పాస్‌వర్డ్ మేనేజర్, Apple/Google ఖాతా మరియు కార్పొరేట్ SSO)ని మొదటి 10 నిమిషాల్లో భద్రపరచండి. మీ క్లీన్ స్మార్ట్‌ఫోన్‌లో, మీ ప్రాథమిక Google / Gmail (ని తెరవండి.myaccount.google.com/device-activity) మరియు మైక్రోసాఫ్ట్ (mysignins.microsoft.com) accounts first. Sign out all desktop sessions, rotate the master password, check Settings > Forwarding and POP/IMAP and Filters/Rules to delete any hidden email forwarding rules the attacker created to hide password-reset emails from other services, and check registered Passkeys and Authenticator devices.
5. మీ Windows రిజిస్ట్రీని ఆడిట్ చేయండి Run మీరు ఇటీవల "ClickFix" నకిలీ CAPTCHA కమాండ్‌ని అమలు చేసినట్లయితే కీలు, టాస్క్ షెడ్యూలర్ మరియు PowerShell చరిత్రWin + R -> Ctrl + V). ఈ రోజు వేగంగా అభివృద్ధి చెందుతున్న ఇన్ఫోస్టీలర్ వెక్టర్‌లలో ఒకటి నకిలీ క్లౌడ్‌ఫ్లేర్ లేదా గూగుల్ క్యాప్చా పాప్‌అప్ వెబ్‌పేజీలో మీకు "నొక్కండి Win + R, press Ctrl + V, and press Enter మీరు మానవుడని ధృవీకరించడానికి" (ఇది దాచిన దానిని నిశ్శబ్దంగా అమలు చేస్తుంది mshta.exe లేదా powershell -w hidden -enc ... కమాండ్ మీ క్లిప్‌బోర్డ్‌కు కాపీ చేయబడింది).
6. కార్పొరేట్ అవస్థాపన లేదా దోపిడీని ఉల్లంఘిస్తే దృక్కోణాన్ని నిర్వహించండి మరియు భౌతిక భద్రతను రక్షించండి. ఇన్ఫోస్టీలర్ లాగ్‌లు తరచుగా మీ దొంగిలించబడిన పాస్‌వర్డ్‌ను ఉటంకిస్తూ స్వయంచాలక విమోచన లేదా సెక్స్‌టార్షన్ ఇమెయిల్‌లను ప్రేరేపిస్తాయి. దోపిడీదారులకు ఎప్పుడూ చెల్లించవద్దు; మా చూడండి sextortion and online blackmail guide, and if you ever face a physical threat, call your local emergency number (911 in the United States and Canada, 112 across the European Union, 999 in the United Kingdom, or see our అత్యవసర సంఖ్యలు డైరెక్టరీ).

Infostealer & session cookie hijacking incident response decision tree¶

flowchart TD
    Root["Suspected Session Cookie Hijacking or Infostealer Malware Infection"] --> IsolatePC["STEP 1: Immediately Disconnect Infected PC/Mac from Wi-Fi & Ethernet (Do NOT Change Passwords on Infected PC)"]

    IsolatePC --> CryptoCheck{"Were Any Crypto Wallet Extensions (MetaMask, Phantom, Exodus) on That PC?"}
    CryptoCheck -->|"అవును"| EvacCrypto["అన్ని క్రిప్టో ఆస్తులను సరికొత్త విత్తన పదబంధానికి స్వీప్ చేయడానికి వెంటనే క్లీన్ ఫోన్/హార్డ్‌వేర్ వాలెట్‌ని ఉపయోగించండి"]
    CryptoCheck -->|"నం"| ApexLock["STEP 2: On a Clean Smartphone, Lock Down Primary Email (Gmail, Outlook, Proton) First"]
    EvacCrypto --> ApexLock

    ApexLock --> GlobalRevoke["STEP 3: Execute Global Session + OAuth Token + Passkey Revocation Across All Critical Accounts (See Platform Matrix Below)"]

    GlobalRevoke --> ExportList["STEP 4: On Offline Infected PC, Export List of All Saved Browser Passwords & Cookies to Know Exactly Which Accounts Were Stolen"]

    ExportList --> CleanOS["STEP 5: Back Up Personal Documents Only -> Perform Clean OS Wipe/Reinstall -> Re-enroll Passkeys & Enable Chrome App-Bound Encryption"]

Understanding how Infostealers bypass 2FA and DPAPI / Keychain encryption¶

How can a 200-kilobyte program steal passwords and session cookies that Google Chrome, Microsoft Edge, and Brave encrypt on your hard drive?

1. Windows DPAPI (CryptUnprotectData) and Chrome App-Bound Encryption (v20):
2. On Windows, Chromium-based browsers (Chrome, Edge, Brave, Opera, Vivaldi) store your saved passwords inside %LOCALAPPDATA%\Google\Chrome\User Data\Default\Login Data and your session cookies inside \Network\Cookies.
3. These SQLite databases are encrypted with an AES-256-GCM master key stored in %LOCALAPPDATA%\Google\Chrome\User Data\Local State, which is protected by the Windows Data Protection API (DPAPI) tied to your logged-in Windows user account.
4. Because you ran the infostealer as your own logged-in Windows user, any process running under your user account could historically call CryptUnprotectData() to ask Windows to decrypt the key. And to bypass Chrome 127+ App-Bound Encryption (v20 elevator service), modern infostealers inject directly into a headless chrome.exe debugging process (--remote-debugging-port) or use COM elevation to ask Chrome itself to dump all live decrypted cookies.
5. మాకోస్ కీచైన్ & అటామిక్ మాకోస్ స్టీలర్ (AMOS / పోజ్‌స్టీలర్):
6. Apple macOSలో, ఇన్ఫోస్టీలర్లు మారువేషంలో ఉన్నారు .dmg డౌన్‌లోడ్‌లు (తరచూ మిమ్మల్ని "రైట్-క్లిక్ -> ఓపెన్" అని అడుగుతుంది లేదా Apple గేట్‌కీపర్‌ని దాటవేయడానికి చిహ్నాన్ని టెర్మినల్కి లాగండి) "సిస్టమ్ ప్రాధాన్యతలు మీ రహస్య సమాచారాన్ని యాక్సెస్ చేయాలనుకుంటున్నాయి: మీ Mac లాగిన్ పాస్‌వర్డ్‌ని నమోదు చేయాలనుకుంటున్నాయి" అనే నకిలీ స్థానిక macOS డైలాగ్ బాక్స్‌ను పాప్ అప్ చేయండి. మీరు మీ Mac లాగిన్ పాస్‌వర్డ్‌ని ఆ ప్రాంప్ట్‌లో టైప్ చేసిన వెంటనే, స్క్రిప్ట్ అన్‌లాక్ అవుతుంది -/Library/Keychains/login.keychain-db మరియు Safari/Chrome కుక్కీలు, Apple గమనికలు మరియు iCloud టోకెన్‌లను కాపీ చేస్తుంది.
7. Google MultiLogin / OAuthLogin Token Regeneration Exploit:
8. Security researchers revealed that infostealers do not just steal standard web cookies, they also extract undocumented oauth_token service tokens from Chrome's Web Data (token_service table) SQLite file. Even after a victim changes their Google password once, attackers could previously replay the stolen token_service OAuth token against Google's internal OAuthLogin endpoint to mint brand-new valid SID browser cookies unless the user explicitly signed out the compromised Chrome device session AND revoked third-party/OAuth device access.

Step 1: Global Session, Cookie, OAuth, and Passkey Revocation Matrix¶

Using a clean smartphone or clean secondary computer, work down this exact table from top to bottom. Order matters: always do Step A (Sign out all active sessions/devices) and Step B (Change password) and Step C (Audit 2FA/Passkeys/OAuth/Forwarding) together, if you only change your password without terminating active sessions, the attacker's live browser tab stays logged in and can watch you or add a rogue recovery method.

దశ 2: మీ సోకిన కంప్యూటర్‌లో బహిర్గతమయ్యే ప్రతి ఖాతాను ఎలా కనుగొనాలి¶

మీరు మీ క్లీన్ ఫోన్‌లో మీ టాప్ 10 కీలకమైన ఖాతాలను లాక్ చేసిన తర్వాత, మీకు భయంకరమైన ప్రశ్న ఎదురవుతుంది: "నేను ఆ కంప్యూటర్‌ను నాలుగు సంవత్సరాలుగా ఉపయోగిస్తున్నాను, ఇన్ఫోస్టీలర్ రన్ చేసినప్పుడు Chrome/Edge లోపల నా 250 వెబ్‌సైట్‌లలో పాస్‌వర్డ్‌లు లేదా యాక్టివ్ కుక్కీలను ఏవి సేవ్ చేశాయో నాకు ఎలా తెలుసు?"

సోకిన కంప్యూటర్‌ను 100 శాతం ఆఫ్‌లైన్‌లో ఉంచుతున్నప్పుడు (Wi-Fi ఆఫ్, ఈథర్నెట్ అన్‌ప్లగ్డ్), దాన్ని ఆన్ చేసి, మెషీన్‌ను తుడిచే ముందు మీ ఖచ్చితమైన ఎక్స్‌పోజర్ ఇన్వెంటరీని సేకరించండి:

1. మీ బ్రౌజర్ సేవ్ చేసిన పాస్‌వర్డ్‌ల జాబితాను ఎగుమతి చేయండి (CSV):
2. మీ బ్రౌజర్‌ని ఆఫ్‌లైన్‌లో తెరవండి (chrome://password-manager/settings Chrome లో, edge://wallet/settings ఎడ్జ్‌లో, లేదా about:logins Firefoxలో) మరియు సేవ్ చేయడానికి ** పాస్‌వర్డ్‌లను ఎగుమతి చేయి** క్లిక్ చేయండి Chrome Passwords.csv శుభ్రమైన USB ఫ్లాష్ డ్రైవ్‌లో.
3. మీ రికవరీకి ఈ ఫైల్ ఎందుకు బంగారం: ఇన్ఫోస్టీలర్ ఈ ఖచ్చితమైన డేటాబేస్‌ను దొంగిలించాడు. కలిగి Chrome Passwords.csv దాడి చేసే వ్యక్తి ఇప్పుడు కలిగి ఉన్న ప్రతి ఒక్క వెబ్‌సైట్ వినియోగదారు పేరు మరియు పాస్‌వర్డ్ యొక్క ఖచ్చితమైన చెక్‌లిస్ట్‌ను మీ ముందు మీకు అందిస్తుంది**, కాబట్టి మీరు సేవ్ చేసిన క్రెడిట్ కార్డ్‌తో పాత పన్ను పోర్టల్, ఎయిర్‌లైన్ మైల్స్ ఖాతా లేదా షాపింగ్ సైట్‌ను కోల్పోరు.
4. ** ఏ వెబ్‌సైట్‌లు సక్రియ సెషన్ కుక్కీలను కలిగి ఉన్నాయో తనిఖీ చేయండి (chrome://settings/content/all)**:
5. Chrome లేదా Edgeలో (ఆఫ్‌లైన్‌లో ఉన్నప్పుడు), కి వెళ్లండిchrome://settings/content/all (లేదా edge://settings/content/all) మరియు ** నిల్వ చేయబడిన డేటా** లేదా ఎక్కువగా సందర్శించిన ద్వారా క్రమబద్ధీకరించండి. మీరు పాస్‌వర్డ్‌ను టైప్ చేయకుండా లాగిన్ చేసి ఉన్న ఏదైనా వెబ్‌సైట్ సెషన్ కుక్కీ దొంగతనానికి గురయ్యే అవకాశం ఉంది మరియు దాని సెషన్‌ను ముగించాల్సిన అవసరం ఉంది.
6. మీ స్వతంత్ర పాస్‌వర్డ్ మేనేజర్ (1పాస్‌వర్డ్, బిట్‌వార్డెన్, కీపాస్‌ఎక్స్‌సి) ఇన్‌ఫెక్షన్ సమయంలో అన్‌లాక్ చేయబడిందో లేదో తనిఖీ చేయండి:
7. మీ 1పాస్‌వర్డ్, బిట్‌వార్డెన్ లేదా కీపాస్‌ఎక్స్‌సి వాల్ట్ లాక్ చేయబడి ఉంటే ఇన్ఫోస్టీలర్ రన్ చేసినప్పుడు: మాల్వేర్ ఎన్‌క్రిప్టెడ్ లోకల్ వాల్ట్ కాష్‌ని మాత్రమే పట్టుకోగలదు (data.json లేదా .kdbx), ఇది PBKDF2-SHA256 / Argon2id + మీ మాస్టర్ పాస్‌వర్డ్ (మరియు 1పాస్‌వర్డ్‌లో 34-అక్షరాల సీక్రెట్ కీ) ద్వారా రక్షించబడింది. మీ మాస్టర్ పాస్‌వర్డ్ బలంగా ఉంటే, మీ వాల్ట్ కంటెంట్‌లు సురక్షితంగా ఉంటాయి, అయినప్పటికీ మీరు మీ మాస్టర్ పాస్‌వర్డ్‌ను ముందుజాగ్రత్తగా తిప్పాలి.
8. మీ పాస్‌వర్డ్ మేనేజర్ బ్రౌజర్ పొడిగింపు మెమరీలో అన్‌లాక్ చేయబడి ఉంటే మాల్వేర్ రన్ అయినప్పుడు (లేదా మీరు Chrome యొక్క అంతర్నిర్మిత ఆటోఫిల్‌లో మీ పాస్‌వర్డ్ మేనేజర్ మాస్టర్ పాస్‌వర్డ్‌ను సేవ్ చేసినట్లయితే.): ఇన్ఫోస్టీలర్ మీ వాల్ట్‌ను డంప్ చేసారని లేదా మీ మాస్టర్ పాస్‌వర్డ్‌ను క్యాప్చర్ చేశారని భావించండి మరియు మీ వాల్ట్‌లోని అన్ని కీలకమైన ఆధారాలను తిప్పండి.

దశ 3: OSని తుడిచిపెట్టే ముందు ఇన్ఫోస్టీలర్ పట్టుదలను వేటాడడం మరియు నిర్మూలించడం¶

మీ వ్యక్తిగత డాక్యుమెంట్‌లను బ్యాకప్ చేసి, క్లీన్ OS రీఇన్‌స్టాల్ చేసే ముందు, ఇన్ఫోస్టీలర్ మీ సిస్టమ్‌లోకి ఎలా ప్రవేశించాడు మరియు అది స్థిరమైన సెకండరీ లోడర్‌ను (షెడ్యూల్డ్ టాస్క్, రిజిస్ట్రీ వంటివి) వదిలివేసిందా అని మీరు తనిఖీ చేయవచ్చు. Run కీ, స్టార్టప్ .lnk సత్వరమార్గం లేదా హానికరమైన Chrome పొడిగింపు):

1. ఈ ఆఫ్‌లైన్ పవర్‌షెల్ పెర్సిస్టెన్స్ ఆడిట్ (Windows)ని అమలు చేయండి¶

ఆఫ్‌లైన్ PCలో **పవర్‌షెల్ (అడ్మిన్)**ని తెరిచి, ఈ నాలుగు చదవడానికి మాత్రమే ఫోరెన్సిక్ తనిఖీలను అమలు చేయండి:

# 1. Check the Windows Run/RunOnce Registry Keys for user-level malware loaders in AppData/Temp:
Get-ItemProperty -Path "HKCU:\Software\Microsoft\Windows\CurrentVersion\Run",
                       "HKCU:\Software\Microsoft\Windows\CurrentVersion\RunOnce",
                       "HKLM:\Software\Microsoft\Windows\CurrentVersion\Run" -ErrorAction SilentlyContinue

# 2. Check the Startup Folder for suspicious .lnk, .vbs, .bat, or .exe files:
Get-ChildItem -Path "$env:APPDATA\Microsoft\Windows\Start Menu\Programs\Startup",
                    "C:\ProgramData\Microsoft\Windows\Start Menu\Programs\StartUp" -Force

# 3. List all Scheduled Tasks created or modified in the last 7 days calling PowerShell, cmd, mshta, or AppData:
Get-ScheduledTask | Where-Object { $_.State -ne "Disabled" } | ForEach-Object {
    $info = $_ | Get-ScheduledTaskInfo -ErrorAction SilentlyContinue
    foreach ($action in $_.Actions) {
        if ($action.Execute -match "powershell|cmd|mshta|wscript|cscript|rundll32|regsvr32|AppData|Temp|ProgramData") {
            [PSCustomObject]@{
                TaskName = $_.TaskName
                Execute  = $action.Execute
                Args     = $action.Arguments
                LastRun  = $info.LastRunTime
            }
        }
    }
} | Format-Table -AutoSize

# 4. Check Windows Defender Exclusions (Infostealers immediately add C:\ or AppData to Defender Exclusions.):
Get-MpPreference | Select-Object -ExpandProperty ExclusionPath
Get-MpPreference | Select-Object -ExpandProperty ExclusionProcess

Get-MpPreference | Select-Object -ExpandProperty ExclusionPath | ForEach-Object { Remove-MpPreference -ExclusionPath $_ }

2. ఇన్ఫోస్టీలర్ తర్వాత క్లీన్ OS రీఇన్‌స్టాల్ (USB మీడియా ద్వారా) ఎందుకు సిఫార్సు చేయబడింది¶

డిఫెండర్ మినహాయింపులను క్లియర్ చేసిన తర్వాత మైక్రోసాఫ్ట్ డిఫెండర్ ఆఫ్‌లైన్ స్కాన్ మరియు మాల్‌వేర్‌బైట్‌లు నడుస్తున్నప్పుడు తెలిసిన పెర్సిస్టెన్స్ లోడర్‌లను తొలగిస్తుంది, కమోడిటీ ఇన్‌ఫోస్టీలర్‌లు తరచుగా సెకండరీ RAT (రిమోట్ యాక్సెస్ ట్రోజన్), **SystemBCclipshi/promalxclipshi మీ Windows క్లిప్‌బోర్డ్‌ను నిశ్శబ్దంగా పర్యవేక్షిస్తుంది మరియు హ్యాకర్ చిరునామాతో ఏదైనా కాపీ చేయబడిన Bitcoin/Ethereum వాలెట్ చిరునామాను మార్చుకుంటుంది). - మీరు మీ వ్యక్తిగత పత్రాలు, ఫోటోలు మరియు కాపీ చేసిన తర్వాత Chrome Passwords.csv ఆఫ్‌లైన్ PC నుండి, మాని అనుసరించి క్లీన్ Windows 11 USB రీఇన్‌స్టాల్ (లేదా macOS అన్ని కంటెంట్ మరియు సెట్టింగ్‌లను ఎరేజ్ చేయండి) చేయండి మాల్వేర్, ransomware మరియు స్పైవేర్ ఇన్ఫెక్షన్ గైడ్.

3. ఇన్ఫోస్టీలర్ ఆర్టిఫాక్ట్స్ కోసం మాకోస్ మరియు లైనక్స్ సిస్టమ్స్ ఆడిటింగ్ (Atomic macOS Stealer / AMOS, Poseidon, మరియు హానికరమైన బ్రౌజర్ పొడిగింపులు)¶

మీ సోకిన మెషీన్ Windows PC కాకుండా Apple MacBook/iMac లేదా Linux డెవలపర్ వర్క్‌స్టేషన్ అయితే, పట్టుదలని గుర్తించడానికి మరియు నిర్మూలించడానికి ఈ ఆఫ్‌లైన్ టెర్మినల్ తనిఖీలను అమలు చేయండి:

# On Apple macOS:
# 1. Check for unauthorized LaunchAgents and LaunchDaemons dropped by AMOS / Poseidon Stealer:
ls -la ~/Library/LaunchAgents /Library/LaunchAgents /Library/LaunchDaemons

# 2. Check for hidden staging folders in /tmp or /var/folders created by AppleScript / osascript stealers:
find /tmp /var/folders -iname "*out.zip*" -o -iname "*passwords.txt*" -o -iname "*cookies*" 2>/dev/null

# 3. Inspect installed Chrome / Brave / Edge Extensions for rogue manifest permissions ('cookies', 'webRequest', '<all_urls>'):
grep -rn '"permissions"' ~/Library/Application\ Support/Google/Chrome/Default/Extensions/ 2>/dev/null

4. ఎంటర్‌ప్రైజ్ & క్లౌడ్ అడ్మిన్ కంటైన్‌మెంట్ (Microsoft Entra ID, Okta, Google Workspace మరియు AWS IAM)¶

ఇన్ఫోస్టీలర్ ద్వారా సోకిన కంప్యూటర్ సాఫ్ట్‌వేర్ ఇంజనీర్, DevOps అడ్మినిస్ట్రేటర్ లేదా **Microsoft Entra ID (Azure AD), Okta, Google Workspace, AWS లేదా Cloudflare*లో సక్రియ సెషన్‌లను కలిగి ఉన్న కార్పొరేట్ ఉద్యోగికి చెందినదైతే, స్థానిక పరికరాన్ని శుభ్రపరచడం సగం యుద్ధం మాత్రమే. ఈ క్లౌడ్ డైరెక్టరీ ఉపసంహరణలను వెంటనే అమలు చేయండి:

• మైక్రోసాఫ్ట్ ఎంట్రా ID (Revoke-MgUserSignInSession): ఒకే బ్రౌజర్‌లో "సైన్ అవుట్" క్లిక్ చేయడం వలన ఎల్లప్పుడూ ప్రాథమిక రిఫ్రెష్ టోకెన్‌లు (PRTలు) లేదా అజూర్ CLI (az login / .azure/msal_token_cache.bin) టోకెన్లు డిస్క్ నుండి కాపీ చేయబడ్డాయి. ఒక ఎంట్రా అడ్మినిస్ట్రేటర్ తప్పనిసరిగా అమలు చేయాలి Revoke-MgUserSignInSession -UserId user@company.com వినియోగదారుని రీసెట్ చేయడానికి Microsoft గ్రాఫ్ PowerShellలో signInSessionsValidFromDateTime అన్ని ఎండ్ పాయింట్‌లలో ఏకకాలంలో అన్ని రిఫ్రెష్ టోకెన్‌లను ఆపాదించండి మరియు చెల్లదు.
• AWS CLI & డెవలపర్ టోకెన్ రొటేషన్ (-/.aws/credentials, -/.npmrc, -/.pypirc, -/.kube/config): కమోడిటీ ఇన్ఫోస్టీలర్లు ప్రతి యూజర్ హోమ్ డైరెక్టరీని స్పష్టంగా స్కాన్ చేస్తారు .aws/credentials, .ssh/id_ed25519, .gitconfig, .env, మరియు డాకర్/కుబెర్నెట్స్ కాన్ఫిగర్ ఫైల్‌లు. అన్ని AWS IAM యాక్సెస్ కీలను వెంటనే నిష్క్రియం చేయండి మరియు తిప్పండి (AKIA...) AWS కన్సోల్‌లో, GitHub వ్యక్తిగత యాక్సెస్ టోకెన్‌లను ఉపసంహరించుకోండి (ghp_...), మరియు ఉత్పత్తి సర్వర్‌ల నుండి బహిర్గతమైన SSH పబ్లిక్ కీలను తొలగించండి (-/.ssh/authorized_keys)
• ** డెస్క్‌టాప్ మెసేజింగ్ & VPN క్లయింట్ టోకెన్ ప్రక్షాళన (టెలిగ్రామ్ డెస్క్‌టాప్ tdata, సిగ్నల్, స్లాక్, ఓపెన్‌విపిఎన్, వైర్‌గార్డ్): వెబ్ బ్రౌజర్‌లకు మించి, ఇన్ఫోస్టీలర్ మాడ్యూల్స్ ప్రత్యేకంగా కాపీ %APPDATA%\Telegram Desktop\tdata డైరెక్టరీ (ఇది SMS కోడ్ లేకుండా మీ మొత్తం టెలిగ్రామ్ ఖాతాను వారి PCలో క్లోన్ చేయడానికి దాడి చేసేవారిని అనుమతిస్తుంది), %APPDATA%\Slack\storage, మరియు సేవ్ చేయబడింది ** OpenVPN (.ovpn) / వైర్‌గార్డ్ (.conf) కార్పొరేట్ VPN ప్రొఫైల్‌లు. మీ ఫోన్‌లో టెలిగ్రామ్‌ను తెరవండి (సెట్టింగ్‌లు > పరికరాలు -> అన్ని ఇతర సెషన్‌లను ముగించండి), అన్ని స్లాక్ వర్క్‌స్పేస్‌లను సైన్ అవుట్ చేయండి (slack.com/account/settings -> అన్ని ఇతర సెషన్‌లను సైన్ అవుట్ చేయండి), మరియు మీ కార్పొరేట్ VPN క్లయింట్ సర్టిఫికేట్‌ను ఉపసంహరించుకోవడానికి మరియు మళ్లీ జారీ చేయమని మీ నెట్‌వర్క్ నిర్వాహకుడిని అడగండి.

నివారణ: మీ బ్రౌజర్ మరియు ఖాతాలను ఇన్ఫోస్టీలర్‌లకు నిరోధకంగా ఎలా తయారు చేయాలి¶

మీ సిస్టమ్ క్లీన్ అయిన తర్వాత మరియు మీ ఖాతాలు పునరుద్ధరించబడిన తర్వాత, ఈ ఐదు రక్షణలను అమలు చేయండి, తద్వారా ఇన్ఫోస్టీలర్ మీ డిజిటల్ జీవితాన్ని మళ్లీ ఎప్పటికీ హైజాక్ చేయలేరు:

• ** హార్డ్‌వేర్/మాస్టర్ కీ లేకుండా మీ వెబ్ బ్రౌజర్ యొక్క అంతర్నిర్మిత పాస్‌వర్డ్ మేనేజర్ (Chrome / ఎడ్జ్ / బ్రేవ్ / ఫైర్‌ఫాక్స్ ఆటోఫిల్) లోపల పాస్‌వర్డ్‌లను ఎప్పుడూ నిల్వ చేయవద్దు**: భూమిపై ఉన్న ప్రతి వస్తువు ఇన్ఫోస్టీలర్ Chromeని లక్ష్యంగా చేసుకుంటుంది Login Data ముందుగా SQLite పట్టిక. ఆఫ్ *"పాస్‌వర్డ్‌లను సేవ్ చేయడానికి ఆఫర్"*ని ఆన్ చేయండి chrome://password-manager/settings మరియు మీ పాస్‌వర్డ్‌లను **సిస్టమ్ లాక్ అయినప్పుడు లేదా 5 నిమిషాల నిష్క్రియ సమయం తర్వాత వెంటనే ** ఆటో-లాక్ చేయడానికి కాన్ఫిగర్ చేయబడిన అంకితమైన, జీరో-నాలెడ్జ్ పాస్‌వర్డ్ మేనేజర్ (1పాస్‌వర్డ్, బిట్‌వార్డెన్, ప్రోటాన్ పాస్, లేదా కీపాస్‌ఎక్స్‌సి) లోపల నిల్వ చేయండి.
• **Chrome 127+**లో "డివైస్-బౌండ్ సెషన్ క్రెడెన్షియల్స్ (DBSC)" & "యాప్-బౌండ్ ఎన్‌క్రిప్షన్"ని ప్రారంభించండి: Google Chrome లేదా Edge తాజా వెర్షన్‌కి అప్‌డేట్ చేయబడిందని మరియు డిఫాల్ట్ సిస్టమ్ డైరెక్టరీలో ఇన్‌స్టాల్ చేయబడిందని నిర్ధారించుకోండి (C:\Program Files\Google\Chrome\Application) కాబట్టి GoogleChromeElevationService డివైస్-బౌండ్ సెషన్ క్రెడెన్షియల్స్ (DBSC) ద్వారా సిస్టమ్ ప్రివిలేజ్ లెవల్స్ మరియు TPM హార్డ్‌వేర్ కీలకు కుక్కీ ఎన్‌క్రిప్షన్‌ని బైండ్ చేయవచ్చు.
• ** విండోస్ రన్ బాక్స్‌ను నిలిపివేయండి (Win + R) లేదా mshta.exe "ClickFix" నకిలీ CAPTCHA దాడులను నిరోధించడానికి**: ఎప్పుడూ ** నొక్కకండిWin + R -> Ctrl + V -> Enter** వెబ్‌సైట్ CAPTCHA, నకిలీ క్లౌడ్‌ఫ్లేర్ స్క్రీన్ లేదా "ఫిక్స్ మైక్రోఫోన్ / ఫిక్స్ ఫాంట్" పాప్-అప్ మీ రన్ డైలాగ్ లేదా టెర్మినల్‌లో కమాండ్‌ను అతికించమని మిమ్మల్ని అడిగినప్పుడు, భూమిపై ఉన్న ఏ చట్టబద్ధమైన వెబ్‌సైట్ కూడా మిమ్మల్ని కోడ్‌ను అతికించమని అడగడం ద్వారా మానవత్వాన్ని ధృవీకరించదు Win + R లేదా macOS టెర్మినల్.
• హార్డ్‌వేర్ సెక్యూరిటీ కీలు (YubiKey) లేదా పాస్‌కీలను ఉపయోగించండి + సున్నితమైన చర్యల కోసం మళ్లీ ప్రామాణీకరణ అవసరం: దొంగిలించబడిన సెషన్ కుక్కీలు ప్రారంభ లాగిన్ ప్రాంప్ట్‌లను దాటవేసేటప్పుడు, ప్రధాన ప్లాట్‌ఫారమ్‌లు (Google, GitHub, Cloudflare, AWS, Coinbase) ** FSIDO Authenticdeని అమలు చేస్తాయి సెషన్ కుక్కీని కలిగి ఉన్న ఎవరినైనా మీ పాస్‌వర్డ్‌ను మార్చడానికి, డేటాను ఎగుమతి చేయడానికి లేదా ఉపసంహరణ చిరునామాను జోడించడానికి అనుమతించే ముందు YubiKey నొక్కండి లేదా పాస్‌కీ బయోమెట్రిక్ తనిఖీ చేయండి.
• ** డార్క్‌నెట్ మానిటరింగ్ డేటాబేస్‌లలో మీ ఇమెయిల్ లేదా స్టీలర్ లాగ్ కనిపించిందో లేదో తనిఖీ చేయండి**: సందర్శించండి haveibeenpwned.com (ఇది ఇప్పుడు మిలియన్ల కొద్దీ స్టీలర్ లాగ్ బాధితుల ఇమెయిల్ చిరునామాలు మరియు రాజీపడిన డొమైన్‌లను సూచిక చేస్తుంది) మరియు మీ ఇమెయిల్ చిరునామాల కోసం ఉచిత డార్క్‌నెట్ ఉల్లంఘన నోటిఫికేషన్‌లను ప్రారంభించండి.
• ** వర్చువల్ మెషిన్ లేదా విండోస్ శాండ్‌బాక్స్ లోపల అవిశ్వసనీయ డౌన్‌లోడ్‌లు, గేమ్ మోడ్‌లు మరియు థర్డ్-పార్టీ స్క్రిప్ట్‌లను వేరుచేయండి**: ఎప్పుడూ ధృవీకరించబడని వాటిని అమలు చేయవద్దు .exe, .msi, .dmg, .bat, లేదా పైథాన్ pip / నోడ్ npm మీ ప్రామాణీకరించబడిన వెబ్ బ్రౌజర్ సెషన్‌లు మరియు ఆర్థిక లాగిన్‌లను కలిగి ఉన్న హోస్ట్ ఆపరేటింగ్ సిస్టమ్‌లో నేరుగా పోస్ట్-ఇన్‌స్టాల్ స్క్రిప్ట్‌లు. Windows శాండ్‌బాక్స్ని ప్రారంభించండి (Windows 10/11 ప్రో మరియు ఎంటర్‌ప్రైజ్‌లో Windows ఫీచర్‌లను ఆన్ లేదా ఆఫ్ చేయండి > Windows Sandbox ద్వారా నిర్మించబడింది) లేదా థర్డ్-పార్టీ యుటిలిటీలను పరీక్షించేటప్పుడు సున్నా సేవ్ చేయబడిన బ్రౌజర్ కుక్కీలతో వివిక్త వర్చువల్ మెషీన్‌ను ఉపయోగించండి.

తరచుగా అడిగే ప్రశ్నలు¶

సంబంధిత మార్గదర్శకాలు¶

• మాల్వేర్, ransomware మరియు స్పైవేర్ ఇన్ఫెక్షన్
• MFA ఫిషింగ్ మరియు అడ్వర్సరీ-ఇన్-ది-మిడిల్ (AiTM) బైపాస్
• MFA లాకౌట్: లాక్ చేయబడిన ఖాతాలను తిరిగి పొందడం ఎలా
• ఇమెయిల్ ఖాతా హ్యాక్ చేయబడింది, ఫార్వార్డింగ్ నియమాలు మరియు పునరుద్ధరణ
• క్రిప్టోకరెన్సీ వాలెట్ డ్రెయిన్ మరియు సీడ్ పదబంధం రాజీ
• పాస్‌వర్డ్ మేనేజర్ లాకౌట్ మరియు ఎమర్జెన్సీ వాల్ట్ రికవరీ
• అత్యవసర సంఖ్యల డైరెక్టరీ

మూలాలను పరిశీలించారు¶

• సైబర్ సెక్యూరిటీ అండ్ ఇన్‌ఫ్రాస్ట్రక్చర్ సెక్యూరిటీ ఏజెన్సీ (CISA) & FBI (యునైటెడ్ స్టేట్స్): Infostealer మాల్వేర్ (LummaC2, రెడ్‌లైన్, Rhadamanthys) మరియు టోకెన్/సెషన్ థెఫ్ట్‌ను తగ్గించడం (CSAE23&CKMITER Web Seb19 కుకీ & T1550.004: వెబ్ సెషన్ కుకీ).
• నేషనల్ ఇన్‌స్టిట్యూట్ ఆఫ్ స్టాండర్డ్స్ అండ్ టెక్నాలజీ (NIST) (యునైటెడ్ స్టేట్స్): NIST SP 800-63B: డిజిటల్ ఐడెంటిటీ గైడ్‌లైన్స్: సెషన్ మేనేజ్‌మెంట్, రీఅథెంటికేషన్ మరియు టోకెన్ బైండింగ్.
• వరల్డ్ వైడ్ వెబ్ కన్సార్టియం (W3C) & Google Chromium సెక్యూరిటీ ఆర్కిటెక్చర్: డివైస్ బౌండ్ సెషన్ క్రెడెన్షియల్స్ (DBSC) స్పెసిఫికేషన్ మరియు Chrome యాప్-బౌండ్ ఎన్‌క్రిప్షన్ (v20 DPAPI ఎలివేషన్) సాంకేతిక డాక్యుమెంటేషన్.
• నేషనల్ సైబర్ సెక్యూరిటీ సెంటర్ (NCSC) (యునైటెడ్ కింగ్‌డమ్): ఎంటర్‌ప్రైజ్ మరియు కన్స్యూమర్ ఎన్విరాన్‌మెంట్స్‌లో మాల్వేర్, ఇన్ఫోస్టీలర్స్ మరియు సెషన్ హైజాకింగ్‌లను తగ్గించడం.
• ఓపెన్ వరల్డ్‌వైడ్ అప్లికేషన్ సెక్యూరిటీ ప్రాజెక్ట్ (OWASP): సెషన్ మేనేజ్‌మెంట్ చీట్ షీట్ & OAuth 2.0 టోకెన్ రివొకేషన్ (RFC 7009) స్టాండర్డ్స్.